Con motivación económica

Scattered Spider

También rastreado como UNC3944, Octo Tempest, Muddled Libra, 0ktapus, Scatter Swine, Storm-0875, LUCR-3

Scattered Spider es un grupo con motivación financiera conocido por su ingeniería social agresiva, la suplantación del servicio de asistencia y el SIM swapping para vulnerar grandes empresas. En el cloud abusa de identidades robadas y de la federación para tomar el control de tenants de AWS y Azure. Después roba datos y a menudo despliega ransomware para extorsionar.

Técnicas cloud

Usa vishing al servicio de asistencia y fatiga de MFA para tomar el control de identidades cloud
Registra tokens y dispositivos MFA del atacante para mantener el acceso a la cuenta
Añade un proveedor de identidad federado al tenant de SSO de la víctima para lograr persistencia
Crea credenciales federadas temporales de AWS con aws_consoler para pivotar a la consola
Se asigna a sí mismo roles de IAM y de Azure con privilegios elevados tras obtener acceso
Exfiltra datos a buckets de S3 controlados por el atacante y a MEGA antes de la extorsión

Técnicas de MITRE ATT&CK

T1078.004 T1098.001 T1098.003 T1621 T1556.006 T1484.002

Referencias

Prevén estas técnicas en tus cuentas de AWS

Pathbreak valida cuáles de estas técnicas se resuelven frente a tu autorización real de AWS y te da el cambio que rompe cada ruta, de modo que un atacante no pueda encadenarla.

Solicitar un escaneo gratuito Explora el mapa de ataque